Shadow-IT erkennen: Netzwerk-Discovery für IT-Admins

Einleitung

Shadow-IT sind die Geräte, Dienste und Cloud-Tools, die ohne dein Wissen in deinem Netz oder unter deinem Firmennamen laufen. Sie sind nicht inventarisiert, nicht gepatcht, nicht überwacht – und damit das ideale Einfallstor. Dieser Artikel zeigt dir, wie du Shadow-IT mit Open-Source-Tools systematisch findest, bevor es ein Angreifer tut.

Warum das Thema wichtig ist

Shadow-IT entsteht selten aus böser Absicht. Eine Marketing-Abteilung kauft sich ein SaaS-Tool, ein Entwickler stellt einen privaten Raspberry Pi ins Netz, ein Außendienstmitarbeiter steckt einen privaten WLAN-Router an, weil das Firmen-WiFi langsam ist. Jeder dieser Fälle ist nachvollziehbar – und jeder erzeugt eine Lücke, durch die Angreifer gerne reingehen. Studien zeigen, dass in mittelständischen Unternehmen typischerweise 20–40 % der tatsächlich genutzten Cloud-Dienste nicht im offiziellen Inventar stehen. Bei Hardware-Geräten ist die Quote oft kleiner, der Schaden im Fall einer Kompromittierung aber höher.

Die drei Arten von Shadow-IT

1. Hardware-Shadow-IT – nicht inventarisierte Geräte im physischen Netz (private Laptops, IoT-Geräte, Drucker, Access Points).
2. Software-Shadow-IT – nicht freigegebene Software auf verwalteten Endgeräten (private Tools, Browser-Plugins, P2P-Clients).
3. Cloud-Shadow-IT – SaaS-Dienste, die mit Firmen-Mailadresse genutzt werden, aber nicht durch IT/Procurement laufen.

Jede dieser drei Kategorien braucht eine andere Discovery-Methode.

Hardware-Shadow-IT erkennen

Aktive Discovery mit Nmap

Standard-Sweep über alle internen Subnetze:

# Quick Sweep: Welche Hosts antworten?
nmap -sn 192.168.0.0/16 -oG sweep.txt

# Detailed Scan: OS-Erkennung, Service-Versionen
nmap -A -T4 -p- 192.168.10.0/24 -oA detail_scan

Vergleiche die Liste der gefundenen IPs/MACs mit deinem Asset-Inventar. Differenzen sind Kandidaten für Shadow-IT.

Passive Discovery mit Zeek

Aktives Scannen findet nur Geräte, die antworten. Zeek beobachtet den Traffic an einem Mirror-Port und erkennt jedes Gerät, das Pakete sendet:

# Zeek auf einer Mirror-Schnittstelle starten
zeek -i eth1 local

# Auswertung: alle aktiven Hosts der letzten 24h
cat /opt/zeek/logs/current/conn.log | zeek-cut id.orig_h | sort -u

Vorteil: Findet Geräte, die ICMP/TCP-Probes blocken (z. B. gehärtete IoT-Devices oder bewusst stille Systeme).

MAC-Adressen-Inventar via SNMP

Switches kennen jede MAC-Adresse, die sie sehen. Per SNMP auslesen:

# CISCO-Switch, MAC-Address-Table
snmpwalk -v 2c -c public 192.168.1.1 1.3.6.1.2.1.17.4.3.1.1

Tools wie NetBox oder NetDisco automatisieren das für ganze Switch-Fleets.

DHCP- und DNS-Logs auswerten

Jedes Gerät, das eine IP per DHCP bekommt, taucht in den Lease-Logs auf:

# ISC DHCP
grep DHCPACK /var/log/dhcpd.log | awk '{print $7, $8}' | sort -u

# Windows DHCP per PowerShell
Get-DhcpServerv4Lease -ComputerName dhcp.example.com -ScopeId 192.168.10.0

Korreliere DHCP-Lease-Hostnames mit deinem AD und deinem Asset-Inventar – Lücken sind Kandidaten.

802.1X als Gegenmittel

Die härteste Variante: kein Netzwerkzugang ohne Authentifizierung. 802.1X mit MAC-Authentication-Bypass als Fallback erlaubt es, jedes neu auftauchende Gerät automatisch in eine Quarantäne-VLAN zu schieben, bis es freigegeben ist.

Software-Shadow-IT erkennen

Software-Inventar via GLPI / OCS / Wazuh

Agent-basierte Erfassung der installierten Software:

• GLPI Agent / FusionInventory: meldet alle installierten Programme an die Inventardatenbank
• Wazuh Agent: liefert Software-Inventory unter „Inventory Data → Packages“
• Microsoft Intune / Defender for Endpoint: Software-Inventory inklusive Schwachstellen-Mapping

Vergleich mit Whitelist freigegebener Software → alles andere ist Kandidat für Shadow-IT.

Browser-Erweiterungen

Oft übersehen, oft Datenabflusswege. Per GPO oder Intune lassen sich installierte Extensions auslesen und unbekannte blocken.

# Chrome-Extensions auf einem System auflisten
Get-ChildItem "C:\Users\*\AppData\Local\Google\Chrome\User Data\Default\Extensions" -Directory

Cloud-Shadow-IT erkennen

DNS-Logs als Goldmine

Jeder SaaS-Aufruf erzeugt DNS-Anfragen. Wenn dein Resolver loggt, hast du eine vollständige Liste aller Cloud-Dienste, mit denen Mitarbeiter sprechen.

# bind9-Query-Log nach SaaS-Domains durchsuchen
grep -E "(slack|notion|trello|asana|dropbox|box.com)" /var/log/named/queries.log \
  | awk '{print $6}' | sort -u

Pi-hole oder AdGuard Home sind super geeignet als zentrale Resolver mit Web-UI für solche Auswertungen.

Web-Proxy / Firewall mit URL-Filter

Wenn du einen Web-Proxy (Squid, pfSense, OPNsense, NextGen-Firewall) im Einsatz hast, exportiere die Top-N besuchten Domains pro Monat. Vergleiche mit der Liste freigegebener SaaS-Tools.

Microsoft Defender for Cloud Apps / Cloud Discovery

Microsoft 365 E5 enthält Defender for Cloud Apps mit einer „Cloud App Discovery“-Funktion. Diese parst Firewall-/Proxy-Logs und erstellt einen Bericht über alle entdeckten Cloud-Dienste mit Risk-Score. Vergleichbare Funktionen gibt es bei Netskope, Zscaler und anderen CASB-Anbietern.

OAuth-Apps in Microsoft 365 / Google Workspace

Mitarbeiter können SaaS-Tools direkt mit ihrem Microsoft- oder Google-Account verbinden, ohne dass IT etwas davon merkt. Regelmäßig prüfen:

• Microsoft 365 Admin Center → Enterprise Applications → User-consented apps
• Google Workspace Admin → Security → API Controls → Manage Third-Party App Access

Was tun mit gefundener Shadow-IT?

Nicht alles muss weg. Workflow:

Gerät / App entdeckt
│
├── Identifizieren: Wer nutzt es? Wofür?
│
├── Bewerten:
│   ├── Risiko (Datenklassifikation, Internet-Exposition)
│   ├── Bedarf (gibt es einen legitimen Use-Case?)
│   └── Alternative (gibt es ein freigegebenes Pendant?)
│
└── Entscheidung:
    ├── Übernehmen → ins Inventar, Ownership klären, ggf. härten
    ├── Ersetzen   → freigegebene Alternative anbieten
    └── Blocken    → technisch unterbinden + Kommunikation

Pure Verbote ohne Alternative funktionieren selten. Wenn Mitarbeiter Notion nutzen, weil das offizielle Wiki schlecht ist, löst ein Verbot das Problem nicht – es treibt das Tool nur in noch dunklere Ecken.

Praxis-Checkliste

• Wöchentlicher Nmap-Sweep über alle Subnetze, Delta zur Vorwoche
• Passive Discovery via Zeek auf Mirror-Port aktiv
• DHCP-Lease-Logs zentral und auswertbar
• SNMP-Polling der Switches für MAC-Address-Tables
• 802.1X (mind. MAC-Bypass mit Quarantäne-VLAN) evaluiert
• Software-Inventory via Agent (Wazuh, GLPI oder Intune)
• DNS-Logging zentralisiert, regelmäßige Auswertung auf SaaS-Domains
• Web-Proxy-/Firewall-Logs auf Top-Domains pro Monat
• Defender for Cloud Apps oder Pendant ausgewertet
• OAuth-App-Reviews in M365 / Google Workspace quartalsweise

Fazit

Shadow-IT verschwindet nicht durch Verbote. Sie verschwindet durch Sichtbarkeit + Pragmatismus: Alles finden, bewerten, dann übernehmen, ersetzen oder gezielt blocken. Mit Nmap, Zeek, DNS-Logs und Wazuh hast du die nötigen Werkzeuge kostenlos. Was du brauchst, ist ein wiederkehrender Prozess – nicht eine einmalige Aktion.

Wenn du tiefer einsteigen willst: Im Newsletter zeige ich jeden Monat konkrete Discovery-Setups und Detection-Workflows. Trag dich ein.